Televizyon dizilerindeki “bir tuşa basıp suçluyu bulma” sahnelerinin aksine, gerçek dünyada Adli Bilişim (Digital Forensics); sabır, teknik derinlik ve hukuki prosedürlere sıkı sıkıya bağlılık gerektiren multidisipliner bir bilim dalıdır. En basit tanımıyla; dijital medyalarda yer alan verilerin, mahkemede delil niteliği taşıyacak şekilde toplanması, saklanması, analiz edilmesi ve raporlanması sürecidir.
Günümüzde işlenen suçların neredeyse tamamı dijital dünyada bir iz (“Digital Footprint”) bırakmaktadır. Ancak bu izlerin hukuka uygun birer delile dönüşmesi, ancak uluslararası standartlarda (ISO 27037) yapılan bir inceleme ile mümkündür.
Adli Bilişimin 4 Altın Kuralı (ISO 27037)
Bir adli bilişim sürecinin hukuken geçerli sayılabilmesi için şu dört aşamanın zincirleme şekilde, bütünlük bozulmadan uygulanması gerekir:
1. Tanımlama ve Toplama (Identification & Collection) Olay yerindeki dijital materyallerin (Bilgisayar, USB, Telefon, Modem vb.) tespiti aşamasıdır. Bu aşamada yapılan en büyük hata, açık olan bilgisayarı kapatmak veya kapalı olanı açmaktır. Uzman müdahalesi olmadan yapılan her işlem, RAM üzerindeki uçucu verilerin (Volatile Data) kaybına yol açar.
2. Koruma ve İmaj Alma (Preservation) Adli bilişimin en temel kuralı şudur: “Asla orijinal delil üzerinde çalışma!” Orijinal medyanın veri bütünlüğünü korumak için, Write Blocker (Yazma Koruma) donanımları kullanılarak birebir kopyası, yani Adli İmajı alınır. Bu işlem, diskin sadece dolu alanlarını değil, silinmiş verilerin bulunduğu “tahsis edilmemiş alanları” (Unallocated Space) da kapsar.
3. Analiz ve İnceleme (Analysis) Alınan imaj dosyaları, özel adli bilişim yazılımları (EnCase, Forensic Explorer, Autopsy vb.) kullanılarak incelenir. Bu aşamada uzman;
- Silinen dosyaları kurtarır (File Carving),
- İnternet geçmişini ve sohbet kayıtlarını dökümünü alır,
- Sisteme takılan USB cihazların listesini çıkarır,
- Zaman Çizelgesi (Timeline) analizi ile olay anını yeniden kurgular.
4. Raporlama (Reporting) Belki de sürecin en kritik halkasıdır. Elde edilen teknik bulguların (Hex kodları, log kayıtları), teknik bilgisi olmayan bir hakimin veya savcının anlayabileceği sade ve net bir dille ifade edilmesidir. İyi bir bilirkişi raporu; yoruma değil, somut teknik bulgulara dayanmalıdır.
Temel Kavramlar: Hash ve Zaman Damgası
Bir dosyanın değiştirilip değiştirilmediğini nasıl ispatlarız? Burada devreye Hash Algoritmaları (MD5, SHA-256) girer. Hash, bir dosyanın dijital parmak izidir. Dosyadaki tek bir harf bile değişse, Hash değeri tamamen değişir. Olay yerinde alınan imajın Hash değeri ile mahkemeye sunulan raporun Hash değeri birebir aynı olmak zorundadır.
Sonuç
Adli Bilişim, sadece “silineni geri getirmek” değildir. Bir suçsuzun masumiyetini kanıtlamak veya bir suçlunun dijital maskesini düşürmektir. Teknoloji geliştikçe suç yöntemleri değişse de, gerçeğin izi dijital dünyada asla tamamen silinmez.
